FunkSec
FunkSecは、サイバー犯罪とハクティビズムを融合させた、AIを活用したランサムウェア集団の新たな潮流を象徴しています。技術的な洗練度は疑問視されるものの、その戦術と知名度の高さから、注目すべき脅威となっています。セキュリティチームは、AIを活用したマルウェアの動向を監視し、自動化や欺瞞戦術を駆使したランサムウェア攻撃に備える必要があります。
FunkSecの経歴
FunkSecは2024年後半に出現したランサムウェア集団であり、公表されている被害者数の多さから急速に悪名を高めています。他の既存のランサムウェア集団とは異なり、FunkSecは比較的新しく独立した活動であるように思われ、以前のランサムウェアファミリーとの関連は確認されていません。この集団は二重の脅迫戦術を用いており、データ暗号化とデータ窃取を組み合わせ、被害者に身代金を支払わせようとしています。
FunkSec の重要な特徴は、AI を活用したマルウェア開発であり、経験の浅い攻撃者でも悪意のあるツールを迅速に作成・改良することが可能です。このグループはハクティビズムとサイバー犯罪の交差点で活動しているように見えるため、真の動機を特定することは困難です。漏洩したデータセットの一部は過去のハクティビスト活動から再利用されていることが判明し、開示内容の信憑性に疑問が生じています。
FunkSecは高度なランサムウェア・アズ・ア・サービス（RaaS）を運営しているように見えますが、セキュリティ研究者は、このグループの技術的専門知識が限られていることを示す複数の兆候を特定しています。彼らの活動のほとんどは、金銭的利益よりも悪評を得ることを目的としているように思われ、これは身代金要求額が低いことや、サイバー犯罪フォーラムにおける積極的な宣伝活動からも明らかです。
出典: チェック・ポイント
対象国
FunkSecの被害者の大半はインドと米国で、欧州や中東の組織も標的とされています。「パレスチナ解放」運動との連携は、地政学的な動機によるものと考えられますが、これは政治的意図というよりも、むしろブランド戦略によるものかもしれません。
対象業界
FunkSecは特定の業界に狙いを定めているわけではないようですが、政府機関、医療、金融サービス、テクノロジー企業を攻撃対象としています。同グループのランサムウェア・アズ・ア・サービス（RaaS）モデルは、複数の組織がツールを利用できるため、潜在的な被害者の範囲が拡大しています。標的とされる業界の中には、ハクティビストの動機と一致するものもあり、特に政府機関やインフラ関連企業などが挙げられます。
画像ソース PCrisk
注目すべき犠牲者
推定138の組織がFunkSec攻撃の被害にあっています。
FunkSecの攻撃方法
FunkSecは、フィッシングメール、クレデンシャルスタッフィング、そして無防備なシステムにおける未修正の脆弱性の悪用を通じてアクセスを獲得します。また、ダークウェブフォーラムで見つかった盗難された認証情報も利用します。
このグループは、資格情報の盗難技術、トークンの操作、および Windows 環境における誤った構成の悪用を使用して、権限の昇格を試みます。
FunkSecは、検知を回避するためにWindows Defender、イベントログ、PowerShellのセキュリティ機能を無効化しています。このランサムウェアはRustでコンパイルされているため、分析と検知が困難になる可能性があります。
攻撃者は、侵害されたシステムやウェブサイトから認証情報を収集するキーロガーや、funkgenerate などのパスワードスクレイピングツールを展開します。
FunkSec は感染したネットワークをスキャンして貴重なファイルを見つけ、暗号化する最も重要な資産を決定します。
攻撃者は、HVNC (隠し仮想ネットワーク コンピューティング) ツールとリモート デスクトップ エクスプロイトを使用して、侵害されたネットワーク間を移動します。
このグループは、被害者のデータを暗号化する前に、カスタム Python スクリプトと Rclone などの標準ツールを使用して機密ファイルを盗み出します。
Rust ベースのランサムウェアは、ChaCha20 暗号化を使用してファイルを暗号化し、「.funksec」拡張子を追加して、身代金要求メッセージを表示します。
盗まれたデータはFunkSecのダークウェブリークサイトにアップロードされ、そこで公開されるか、第三者に販売されます。
ランサムウェアはシャドウコピーを削除し、プロセスを終了して操作を妨害し、システム設定を変更します (例: デスクトップの背景を黒くする)。
FunkSecは、フィッシングメール、クレデンシャルスタッフィング、そして無防備なシステムにおける未修正の脆弱性の悪用を通じてアクセスを獲得します。また、ダークウェブフォーラムで見つかった盗難された認証情報も利用します。
このグループは、資格情報の盗難技術、トークンの操作、および Windows 環境における誤った構成の悪用を使用して、権限の昇格を試みます。
FunkSecは、検知を回避するためにWindows Defender、イベントログ、PowerShellのセキュリティ機能を無効化しています。このランサムウェアはRustでコンパイルされているため、分析と検知が困難になる可能性があります。
攻撃者は、侵害されたシステムやウェブサイトから認証情報を収集するキーロガーや、funkgenerate などのパスワードスクレイピングツールを展開します。
FunkSec は感染したネットワークをスキャンして貴重なファイルを見つけ、暗号化する最も重要な資産を決定します。
攻撃者は、HVNC (隠し仮想ネットワーク コンピューティング) ツールとリモート デスクトップ エクスプロイトを使用して、侵害されたネットワーク間を移動します。
このグループは、被害者のデータを暗号化する前に、カスタム Python スクリプトと Rclone などの標準ツールを使用して機密ファイルを盗み出します。
Rust ベースのランサムウェアは、ChaCha20 暗号化を使用してファイルを暗号化し、「.funksec」拡張子を追加して、身代金要求メッセージを表示します。
盗まれたデータはFunkSecのダークウェブリークサイトにアップロードされ、そこで公開されるか、第三者に販売されます。
ランサムウェアはシャドウコピーを削除し、プロセスを終了して操作を妨害し、システム設定を変更します (例: デスクトップの背景を黒くする)。